Как исправить ошибку XMLHttpRequest cannot load?

Question

[olegxxxl]

Есть сайт с двумя доменами, с основным и поддоменом. Идея при загрузке изображения на основном сайте site.ru, слать запрос на store.site.ru. В данный момент при попытке отправки такого запроса (отправляем ajax запрос), выбивает ошибку

XMLHttpRequest cannot load store.site.ru. Request header field X-CSRF-TOKEN is not allowed by Access-Control-Allow-Headers in preflight response.

Понимаю что проблема в CORS политике, но не понимаю как решить это на LARAVEL. На ноде достаточно установить пакет cors и инициализировать. Как тут решить эту проблему ? Пробовали создавать middleware и отправлять заголовки.

Comments

[netrox]

Покажите config/cors.php для store.site.ru.

[olegxxxl]

netrox, вообще не делали там изменений, возможно у вас есть пример что должно быть ?

[Сергей delphinpro]

olegxxxl, добавьте путь в paths на который вы делаете запрос.

Answer 1

[Sanes]

В запросе Вы должны передать XSRF токен или добавить исключение в
App/Http/Middleware/VerifyCsrfToken.php

Comments

[olegxxxl]

отправляем токен вот так

$.ajax({
                                    type: 'POST',
                                    url: '{{ route('compress') }}',
                                    dataType: 'json',
                                    data: {
                                      \
                                    },
                                    headers: {
                                        'X-CSRF-TOKEN': $('meta[name="csrf-token"]').attr('content')
                                    },

[Sanes]

olegxxxl,
попробуйте отправить в теле запроса. Из hedears уберите.

<form method="POST" action="/profile">
    @csrf

    <!-- Equivalent to... -->
    <input type="hidden" name="_token" value="{{ csrf_token() }}" />
</form>

[olegxxxl]

Sanes, в форме и так отправляем его вроде

[Sanes]

olegxxxl,
добавьте исключение, если сработает, то значит неправильно отправляете

Answer 2

[Сергей delphinpro]

Request header field X-CSRF-TOKEN is not allowed by Access-Control-Allow-Headers in preflight response.

Научите ваш сервер отдавать этот заголовок и добавьте в него X-CSRF-TOKEN (не сам токен. заголовок)